企業がDjangoを使う際に、特にセキュリティで気をつけること

2025/11/19 Python・Djangoのセキュリティセミナー ～市場動向から実践的な話まで～
https://kusanagi.biz/event-seminar/python_django_20251119/
https://enterprise-wordpress.doorkeeper.jp/events/191900

Transcript

1. 企業がDjangoを使う際に、特にセキュリティで気をつけること Python・Djangoのセキュリティセミナー ～市場動向から実践的な話まで～ BeProud / connpass 開発チーム 吉田 花春（@kashew_nuts） 1 / 42
2. お品書き 自己/会社紹介 発表の動機・ゴール Djangoの基本情報 セキュリティ対策の基準 Djangoでの実践対策 運用とまとめ 2 / 42
3. Who am I? / 自己紹介 吉田花春 (Yoshida Kashun) 𝕏 @kashew_nuts BeProud Inc. Django歴: 8年以上 PyCon JP・DjangoCongress JP 登壇 / 書籍・雑誌執筆経験あり 「Djangoの安全設計」と「実運用での落とし穴」を 開発現場の視点から共有します。 3 / 42
4. What's BeProud Python メインで受託開発・研修・自社サービスの運営 私は主に connpass の開発/運営をしています 各国のPyConでの登壇実績があり、書籍執筆も行う 4 / 42
5. 1. Djangoの基本情報 5 / 42
6. バッテリー同梱の哲学: フルスタックで安全機構を標準装備 "安全にしやすい" フレームワーク設計 ミドルウェア（セキュリティ / クリックジャッキング / CSRF / Session） 認証（User / Permission / 認証システム / パスワード管理） ORM（Models / QuerySet / Migrations） View層（URLconf / Views / ファイルアップロード） テンプレートエンジン（autoescape / filters） 管理インターフェース（admin） フォーム キャッシュフレームワーク 国際化と地域化 6 / 42
7. セキュリティ指向の歴史 2005年の初期から安全設計重視 LTS(Long-Term Support)リリース で長期サポート 脆弱性報告への経路や仕組みが 確立しており、迅速な対応 システムの信頼性と長期的な運用が可能になる 7 / 42
8. Djangoは「安全にしやすい」フレームワーク 「Djangoが守る範囲」と「開発者が守る範囲」を理解することが重要。 ORMによりSQL Injectionを防ぎやすい テンプレートでXSSを防ぎやすい MiddlewareでCSRF/Cookie保護を標準化 Djangoは自動で安全を保証するわけではありません。 しかし、安全な実装を導きやすい設計を持っています。 8 / 42
9. 実運用で崩れやすいポイント SPA（フロントエンドとバックエンドを分離した構成） サブドメイン運用 外部ストレージ・CDN 設計・設定・CI運用がカギ 9 / 42
10. 2. セキュリティ対策の基準 10 / 42
11. なぜ守るのか 情報漏えいは「事故」ではなく「過失」 信頼失墜、法的責任、コスト爆発 11 / 42
12. 代表的な被害事例 XSSによるセッション乗っ取り CSRFでの不正操作 認可バグでの情報漏えい S3署名URLの流出 12 / 42
13. IPA: 安全なWebサイトの作り方 IPA(情報処理推進機構)による安全指針 実際の届け出をもとに脆弱性対策・安全性向上施策・失敗例について解説 対策カテゴリ: パスワード系 認証・認可 インジェクション系 クロスサイト系 その他（ファイル、ディレクトリ等） [1] https://www.ipa.go.jp/security/vuln/websecurity.html 13 / 42
14. OWASP Top 10 Web アプリケーションによくある脆弱性と対処方法について解説 A01: アクセス制御の不備 A03: インジェクション A05: セキュリティの設定ミス A07: 識別と認証の失敗 A08: ソフトウェアとデータの整合性の不具合 → Djangoは多くをカバー可能 [1] https://owasp.org/Top10/ja/ 14 / 42
15. 信頼境界を意識する 信頼できないデータが境界をまたぐ際に防御を置くことが重要 ※ Django 開発者視点での"理解用の整理図" 15 / 42
16. 3. Djangoでの実践対策 16 / 42
17. settings.py での防御線 SECURE_SSL_REDIRECT = True CSRF_COOKIE_SECURE = True SESSION_COOKIE_HTTPONLY = True SECURE_HSTS_SECONDS = 31536000 # 1年 → HTTPS, Cookie保護, HSTS 17 / 42
18. check --deploy $ python manage.py check --deploy 自動検出できる項目を確認 ただしCSP, SSRF, CORSは対象外 自動 + 手動レビューを習慣化 18 / 42
19. CSRF設定 デフォルトは CsrfViewMiddleware と csrf_token テンプレートタグでカバー 本番運用でハマりやすい以下の2つの設定値には注意 CSRF_TRUSTED_ORIGINS CSRF_COOKIE_SAMESITE='Lax' or 'None'にしてSecureをつける ※ SPA/API分離時に注意が必要 https://docs.djangoproject.com/ja/5.2/ref/csrf/#settings 19 / 42
20. ALLOWED_HOSTSとProxy # Hostヘッダインジェクション回避(受け付けるHostを絞る) ALLOWED_HOSTS = ['app.example.com'] # CloudFront や ALB配下で動かすときに USE_X_FORWARDED_HOST = True SECURE_PROXY_SSL_HEADER = ('HTTP_X_FORWARDED_PROTO', 'https') → CloudFront/ALB配下での正しい設定 20 / 42
21. パスワード保護 保存時はPBKDF2やArgon2のようなハッシュ関数を用いる: PASSWORD_HASHERS で 設定 強力なバリデータ設定を活用: AUTH_PASSWORD_VALIDATORS で設定 単純なパスワード禁止ルールの導入 パスワード変更時の決まりごと（長さ・辞書攻撃対策など） アカウントロックは django-axes を活用 [1] https://pypi.org/project/django-axes/ 21 / 42
22. CSP(Content Security Policy) 設定 CSP_DEFAULT_SRC = ["'self'", "*.example.com"] CSP_SCRIPT_SRC = ["'self'", "js.cdn.com/example/"] django-csp を活用し report-only 運用から始める 次第により厳格なCSPである nonce- もしくは hash- ベース にしていく Django 6.0（2025年12月予定）で標準対応予定 [1] https://pypi.org/project/django-csp/ 22 / 42
23. XSS対策 テンプレート自動エスケープ {{ }} mark_safe 禁止 ブログ投稿やコメント欄などのHTML投稿は bleach でサニタイズ 23 / 42
24. SQL Injection ORM使用で防御 Raw SQLでは必ずパラメータバインド cursor.execute("SELECT * FROM tbl WHERE id=%s", [id]) 24 / 42
25. ファイルアップロード Request Boundary Form / Serializer でサイズ・MIME・拡張子を検証 FileExtensionValidator など Django標準のバリデータ活用 Application Logic Pillow で画像を再エンコード（Exif除去・形式正規化） アップロード処理を ビジネスロジックとして集約して「直接保存させない」 Data & External FileField + Storage backend（django-storages / S3） S3はprivate、配布はPresigned URL or CloudFrontで [1] https://pypi.org/project/pillow/ [2] https://pypi.org/project/django-storages/ 25 / 42
26. リダイレクト安全化 next パラメータは信頼ドメインのみに限定 許可ホストのみ許可する仕組みを使い、それ以外はフォールバックする url_has_allowed_host_and_scheme(next_url, allowed_hosts) 26 / 42
27. メールヘッダインジェクション Djangoは防御済み ユーザー入力を直接 Subject / From / To に入れず、バリデーションを挟む EmailField で形式チェック 改行（\r\n）を禁止するバリデータを挟む From は固定アドレス、ユーザーのメールは reply_to で扱うのも検討 27 / 42
28. 認可制御 django-guardian , rules でobject-level permission if分岐で権限管理しない [1] https://pypi.org/project/django-guardian/ [2] https://pypi.org/project/rules/ 28 / 42
29. CORS（Cross-Origin Resource Sharing）設定 django-cors-headers CORS_ALLOW_ALL_ORIGINS=True と CORS_ALLOW_CREDENTIALS=True の併用は危険 Originリストを厳格に CORS_ALLOW_CREDENTIALS=True が必要な場合は明示的なHostだけ許可 [1] https://pypi.org/project/django-cors-headers/ 29 / 42
30. セッション管理 Cookie属性 Secure=True（HTTPS必須） HttpOnly=True（XSSから保護） SameSite=Lax（デフォルト安全） 権限昇格時はセッションIDをローテート。セッション固定攻撃(Session Fixation) を避ける Djangoの login() が自動で実施 Django Adminから指定するなど特殊ケースでは session.flush() キャッシュ禁止ヘッダ @never_cache デコレータを活用して no-store を付与 30 / 42
31. 管理画面防御 /adminは別URLに配置 IP制限や2FAで保護 監査ログを記録 31 / 42
32. 構造化ログ django-structlog or python-json-logger リクエストID / ユーザーID / 成功・失敗を記録 [1] https://pypi.org/project/django-structlog/ [2] https://pypi.org/project/python-json-logger/ 32 / 42
33. 静的解析とCI Ruff ( flake8-bugbear, bandit）, detect-secrets pre-commit でチェック自動化 $ pre-commit run --all-files [1] https://pypi.org/project/ruff/ [2] https://pypi.org/project/detect-secrets/ [3] https://pre-commit.com/ 33 / 42
34. 依存関係と脆弱性管理 pip-audit / safety / Dependabot CIで定期チェックを自動化 [1] https://pypi.org/project/pip-audit/ [2] https://pypi.org/project/safety/ [3] https://docs.github.com/ja/code-security/dependabot 34 / 42
35. DAST（Dynamic Application Security Testing）とモニタリング DAST: 動的アプリケーションセキュリティテスト OWASP ZAP baseline scan CSP report-onlyログを監視 [1] https://www.zaproxy.org/docs/docker/baseline-scan/ 35 / 42
36. 4. まとめ 36 / 42
37. Djangoが守ってくれること CSRF, XSS, SQLi, Auth, Cookie保護 → "デフォルトで強い" 37 / 42
38. 開発者が守るべきこと CSP, CORS, SSRF, ファイル, ログ, レート制限 → "設計と運用で補う" 38 / 42
39. 自動チェック文化を作る check --deploy ruff / bandit / pip-audit → 継続的検査の仕組みをチームに 39 / 42
40. チームで守る 個人対応ではなく仕組み化 教育・レビュー・自動化を循環させる 40 / 42
41. 最後に Djangoは安全を助ける。 でも守るのは、あなたのチーム。 41 / 42
42. Djangoの開発・運用で困ったら BeProud にご相談ください 大規模Djangoの運用実績 パフォーマンス最適化 / セキュリティ対策 API 設計・リプレース・アーキテクチャ改善 コードレビュー・教育・スポット支援も対応 https://www.beproud.jp/business/ あなたのチームと一緒に、 Django をもっと安全に、もっと強く。 42 / 42